Forum PHP.pl > Czy to oznacza skuteczną próbe włamania?

Pomoc - Szukaj - Użytkownicy - Kalendarz

Pełna wersja: Czy to oznacza skuteczną próbe włamania?

spenalzo

10.12.2003, 02:55:27

Cytat

[Sun Dec 07 22:48:46 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/scripts/root.exe
[Sun Dec 07 22:48:48 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/msadc/root.exe
[Sun Dec 07 22:48:50 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/c/winnt/system32/cmd.exe
[Sun Dec 07 22:48:52 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/d/winnt/system32/cmd.exe
[Sun Dec 07 22:48:54 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/scripts/..%5c/winnt/system32/cmd.exe
[Sun Dec 07 22:48:56 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/_vti_bin/..%5c/..%5c/..%5c/winnt/system32/cmd.exe
[Sun Dec 07 22:48:58 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/_mem_bin/..%5c/..%5c/..%5c/winnt/system32/cmd.exe
[Sun Dec 07 22:49:00 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/msadc/..%5c/..%5c/..%5c/..Á/..Á/..Á/winnt/system32/cmd.exe
[Sun Dec 07 22:49:01 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/scripts/..Á/winnt/system32/cmd.exe
[Sun Dec 07 22:49:05 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/scripts/..ŔŻ/winnt/system32/cmd.exe
[Sun Dec 07 22:49:07 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/scripts/..Áś/winnt/system32/cmd.exe
[Sun Dec 07 22:49:13 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/scripts/..%5c/winnt/system32/cmd.exe
[Sun Dec 07 22:49:14 2003] [error] [client 80.197.232.154] File does not exist: c:/foxserv/www/scripts/..%2f/winnt/system32/cmd.exe

Takie coś dzisiaj znalazłem w logach - czy to oznacza skuteczną próbe włamania? Wydaje mi sie że nie.. ale nie wiadomo.
O ile "włąmanie" nie jest tu za mocnym słowem...

eldad

10.12.2003, 06:54:42

Nimda szuka ISS-a

http://www.cert.org/advisories/CA-2001-26.html

eldad

Bakus

10.12.2003, 10:26:59

Przy okazji tematu ataków:
Czy istnieje jakiś sposób na sprawdzenie, czy firewall i antywirus jakie mam są skuteczne?
Wiem, że symantec ma takie testy na swoich stronach, ale korzystam z ich oprogramowania, i wydaje mi się, że wyniki testów są przekłamane...

Polecicie coś?

enceladus

10.12.2003, 10:56:36

Cytat

Nigdy nie będziesz w 100% pewien że jesteś bezpieczny. Zawsze może znaleźć się ktoś kto ominie aktualne zabezpieczenia i żaden firewall i antywirus nie pomogą. Oczywiście jest to sytuacja extremalna

. Nie rozumiem jak chcesz sprawdzać skuteczność antyvira - wydaje mi się że jeśli wirus jest w bazie to powinien go wykryć i tyle - wystarczy aktualizować bazę.
Aby się dobrze zabezpieczyć proponuję postawić bramę na linuxie, wyłączyć na niej wszystkie usługi sieciowe od strony WAN, po stronie LAN zostawić tylko proxy www, wyłączyć forwarding a zamiast niego zostawić redirecty tylko do wymaganych usług

. Do tego jeszcze można logować wszystkie pakiety przychodzące z WAN-u a potem je oglądać - metoda paraniodalna.

Bakus

10.12.2003, 12:12:07

faktycznie...
Aczkolwiek, czy istnieje jakaś alternatywa dla testów symanteca?
Chcę wiedzieć, czy chociarz przed początkującymi się obronie...

enceladus

10.12.2003, 12:42:58

Cytat

Aczkolwiek, czy istnieje jakaś alternatywa dla testów symanteca?

Daj URL-a do tych testów bo za bardzo nie wiem co chcesz testować

A od siebie polecam poszukanie możę jakichś testów/porównań na securityfocus.com (aczkolwiek ich Symantec też kupił

)

10.12.2003, 13:14:10

spen, dla mnie to wyglada jakby cie ktos nmapem macal pod katem uslug... hmm chociaz nie.. no za duzo konkretnych wywolan cmd ale szkoda ze tam nie widaz z jakim parametrem te wywolania... bynajmniej jak dla mnie jesli mialby byc to jakis atak to niestety sie nie powiodl..... a raczej cale szczescie

Bakus

10.12.2003, 13:40:52

http://security.symantec.com/sscv6/home.as...CVGZBZTVOGXFSTZ

Chodzi o skanowanie komputera na jego podatność względem ataków...

enceladus

10.12.2003, 14:08:22

Cytat

http://security.symantec.com/sscv6/home.as...CVGZBZTVOGXFSTZ

Chodzi o skanowanie komputera na jego podatność względem ataków...

Obejrzalem - taki prosty, mily dla oka nmap

Jeśli chcesz poskanować trochę bardziej dokładnie poczytaj o narzedziach typu Saint, jesli zas chodzi o antyvira, to jest zwykły skaner online, taki jak ma np. tez MKS - nic nadzwyczajnego, a daje afekt marketingowy

spenalzo

10.12.2003, 14:52:03

Hmm... przejrzałem sobie logi i widze że takich prób było więcej i o dokładnie takiej samej postaci - więc to może być jednak wirus - na szczęście nie ma IIS tylko Apache

enceladus

10.12.2003, 14:57:47

Cytat

Hmm... przejrzałem sobie logi i widze że takich prób było więcej i o dokładnie takiej samej postaci - więc to może być jednak wirus - na szczęście nie ma IIS tylko Apache

Zapomniałe dodać że to w 100% wirus na IIS

.
BTW, kiedyś z ciekawości logowałem ruchu z internetu wywołamy przez MS Blasta.... zrezgnowałem po chwili bo logi rosły w zastraszającym tempie

. Nie warto się czymś taki zupełnie przejmować. Najlepiej serwery developerskie w ogole nie wystawiać do netu - chyba ze trzeba.

Bakus

10.12.2003, 20:47:20

Z ciekawości zacząłem przeglądać logi NIS'a, który strzee mojego "serwerka"...
90% logów, to próby dostępu przez port 135... A podobno misrosoft wydał poprawkę...

Czy ludzie nie pojmują zagroeń jakie czychają na nich w sieci?

enceladus

10.12.2003, 20:58:40

Cytat

90% logów, to próby dostępu przez port 135... A podobno misrosoft wydał poprawkę...

Kiedyś zapuściłem jeszcze logowanie KAŻDEGO pakietu który idzie w stronę domen związanych z MS (skrypt mi wybrał z whois-a). Aplikacje MS czasem starają się łączyć z serwerami, np. media player

, kiedyś sprawdzę co się dzieje przy instalacji winXP juz teraz wiem że łączą się do serwerów czasu MS, niby drobiazg a ile statystycznych informacji można z tego wyciągnąć 8)
Wielki Brat patrzy.

POLVIP

10.12.2003, 21:19:26

najlepszym sposobem na zabezpieczenie jest dobra firewall i wszystkie update zainstalowane na czas

na windows xp sadze ze ZoneAlarm Pro 4.5 jest najlepszym wyjsciem z software. Ktoś zna coś innego i lepszego?

enceladus

10.12.2003, 21:32:04

Cytat

Jeśli jesteś od początku do końca legalny to spoko

Ale i tak dodatkowy firewall zawsze będzie lepszy od host based firewall. Pomyśl sobie: ktoś bardzo chce włamać się na twego kompa. Rozpoznaje jakiego masz firewall-a, pisze trojana który może zostać przez Ciebie z jakichś powodów uruchomiony, ewentualnie robi stronę na którą możesz trafić (jak... np. przez to forum

). taki trojan/strona dezaktywują ZoneAlarm ... i co wtedy

Polecam lekturę książki Mitnick-a.
Dlatego w domu odcięty jestem od netu firewallem na linuxie, dane trzymam na 2-giem maszynie linuxowej a pracuję na lapsie... a i tak wiem że ktoś może się włamać.

#sigsegv

10.12.2003, 21:54:19

to zwykly skan na ISS'a
Jedyne sensowne rozwiazanie to posiadanie apache

To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.